A kutatók felfedezték a Phantomot, egy AI-vezérelt behatolási keretrendszert, amelyet az INC és a The Gentlemen zsarolóvírus-műveletek affiliáltjai használnak betöréseik felskálázására. Ennek az AI zsarolóvírus-keretrendszernek, a Phantomnak a felfedezése hasznos jelzője annak, merre tartanak a bűnözői eszközök: kevesebb manuális erőfeszítés áldozatonként, és több áldozat támadónként.

A nyilvános részletek korlátozottak, ezért ez a bejegyzés ahhoz tartja magát, amiről beszámoltak, és elkerüli a technikai részletek találgatását. Ami világos, az az irány, és a válaszként fontos védekezések többnyire ismerősek.

Amit a kutatók a Phantomban találtak

A jelentés szerint a Phantom egy AI-vezérelt behatolási keretrendszer. Két zsarolóvírus-csoport, az INC és a The Gentlemen affiliáltjai használták zsarolóvírus-betöréseik felskálázására. A zsarolóvírusok világában az affiliáltak azok az operátorok, akik ténylegesen végrehajtják a támadásokat, gyakran egy központi csoport által biztosított eszközöket és infrastruktúrát használva. Egy megosztott keretrendszer sok affiliáltnak ugyanazokat a képességeket adja.

A beszámoló a keretrendszert a betörések automatizálásának és felskálázásának eszközeként írja le. Nincsenek megerősített részleteink arról, hogy milyen konkrét sebezhetőségeket céloz, hány áldozatot érintett, vagy mely AI-modellekre támaszkodik, ezért ezekről nem fogunk találgatni. Ha a kutatók többet tesznek közzé, azok a részletek fontosak lesznek a védekezők számára.

Hogyan csökkenti az AI a zsarolóvírusok belépési korlátját

A zsarolóvírus-betörések hagyományosan sok lépésből álltak: bejutási mód keresése, mozgás a hálózaton belül, értékes adatok megtalálása és a titkosítási payload telepítése. Minden lépés időt és szakértelmet igényel. Az automatizálás ezeket a szűk keresztmetszeteket támadja. Amikor egy keretrendszer a folyamat repetitív vagy technikai részeit kezeli, kevésbé tapasztalt affiliáltak is megkísérelhetnek olyan támadásokat, amelyek egykor tapasztalt operátorokat igényeltek, a tapasztaltak pedig egyszerre több kísérletet futtathatnak.

Ez a fő aggodalom az olyan eszközökkel kapcsolatban, mint a Phantom. Nem feltétlenül tesz okosabbá egyetlen támadást sem. Olcsóbbá teszi a támadások indítását, ami mindenki számára megemeli a kockázat alapszintjét, beleértve azokat a célpontokat is, amelyek korábban túl kicsik voltak ahhoz, hogy megérjék egy támadó manuális erőfeszítését.

Az AI-támogatott támadás tágabb trendje nem korlátozódik a zsarolóvírusokra. Az OpenAI közzétette, hogy Astra modellje nulladik napi sebezhetőségeket (zero-day) képes találni és működő exploitokat építeni, amit az OpenAI Astra AI-járól és annak nulladik napi sebezhetőségek megtalálására és exploitok építésére való képességéről szóló elemzésünkben tárgyaltunk. Együtt ezek a fejlemények azt mutatják, hogyan csökkenti az AI a céltól a kompromittálásig szükséges időt és szakértelmet.

Mit jelent ez Önnek

Magánszemélyeknek: A zsarolóvírusokat általában vállalatokhoz kötik, de az automatizálás könnyebbé teszi a széles körű, opportunista célzást. A személyes eszközök, otthoni irodák és családi fotókat vagy dokumentumokat tartalmazó felhőfiókok ugyanazokba a kampányokba sodródhatnak bele. A gyakorlati hatás az, hogy a "senki sem fárádzna velem" gyengébb feltevés, mint korábban volt.

Kisvállalkozásoknak: A kis cégek gyakran nélkülöznek dedikált biztonsági csapatot, ami vonzóvá teszi őket, amikor a támadók olcsón tudnak skálázódni. Ha behatolás történik, a válaszlépésekre is gondolnia kell, beleértve a jogi kötelezettségeket. Ausztráliában például a kötelező zsarolóvírus-bejelentési szabályok változtatják meg, hogyan kezelik a kisebb cégek a támadásokat, amint azt az Ausztrália zsarolóvírus-bejelentési szabályai és a KKV-k adatvédelmi kockázatai című írásunkban kifejtettük. Sokkal könnyebb ismerni a kötelezettségeit egy incidens előtt, mint egy incidens közben megtanulni őket.

A Phantomról szóló beszámolóban semmi sem utal egy új, megállíthatatlan támadási módszerre. A lényeg a mennyiség és a hozzáférhetőség, és pont itt térül meg az alapvető biztonsági higiénia.

Gyakorlati védekezések: MFA, javítások, biztonsági mentések és adathalászat-tudatosság

Az automatizálás általában a legkönnyebb célpontokat találja el először. A bejutás költségének növelése továbbra is a leghatékonyabb válasz.

  • Kapcsolja be a többtényezős hitelesítést (MFA). Priorizálja az e-mailt, a felhőtárolást, a távoli hozzáférést és az adminisztrátori fiókokat. Ahol lehetséges, használjon hitelesítő alkalmazást vagy hardverkulcsot az SMS-kódok helyett.
  • Javítson haladéktalanul. Frissítse az operációs rendszereket, böngészőket, VPN- és tűzfal-eszközöket és az üzleti szoftvereket. Engedélyezze az automatikus frissítéseket, ahol tudja, és tartson nyilvántartást az internettel kapcsolatos rendszerekről, hogy semmi ne maradjon ki.
  • Tartson offline vagy megváltoztathatatlan biztonsági mentéseket. Kövesse a 3-2-1 megközelítést: három példány, két médiatípus, egy offline vagy a fő hálózatától elérhetetlen helyen tárolva. Rendszeresen tesztelje a visszaállítást ezekből.
  • Legyen óvatos az adathalászattal. Legyen szkeptikus a váratlan mellékletekkel, bejelentkezési kérésekkel és sürgős fizetési vagy jelszókérésekkel szemben. Cselekvés előtt ellenőrizze egy külön csatornán keresztül.
  • Korlátozza a hozzáférést. Használjon külön adminisztrátori és mindennapi fiókokat, és távolítsa el a hozzáférést azoktól, akiknek már nincs rá szükségük.
  • Készítsen egyszerű választervet. Tudja, kit hívjon, hogyan izolálja az érintett eszközöket, és milyen bejelentési szabályok vonatkoznak Önre.

Fő tanulságok

Az AI zsarolóvírus-keretrendszer, a Phantom felfedezése azt mutatja, hogy a támadók automatizálásba fektetnek a zsarolóvírus-betörések felskálázására, és a beszámolók szerint az INC és a The Gentlemen affiliáltjai is használják. Nem irányíthatja, hogyan építik eszközeiket a bűnözők, de irányíthatja, hogy fiókjai, rendszerei és biztonsági mentései könnyű célpontok-e.

Kezdje ezen a héten: engedélyezze az MFA-t a legfontosabb fiókjain, telepítse a függőben lévő frissítéseket, ellenőrizze, hogy van-e olyan offline biztonsági mentése, amely ténylegesen visszaáll, és frissítse adathalászati szokásait. Az AI-támogatott támadásról szóló további kontextusért olvassa el az Astra és a nulladik napi sebezhetőségek felfedezése című tudósításunkat, és ha kisvállalkozást vezet, tekintse át az Ausztrália KKV zsarolóvírus-bejelentési szabályai című magyarázatunkat az incidensválasz megtervezéséhez.